OpenAI GPT-6 Cyber：会找漏洞、会写利用代码，但只给通过审核的安全团队用

先说判断：最会找漏洞的模型，也是管得最严的模型

2026 年 11 月 5 日，OpenAI 发布了 GPT-6 Cyber，一个专门为网络安全研究训练的模型。它能做的事情听起来有点吓人：自己找软件漏洞、写出能真正利用漏洞的代码、再帮你写修复补丁。在一次针对最新 Linux 内核的研究里，它复现了 1724 个漏洞，写出了 948 个能让普通用户拿到 root 权限的利用代码；在 Firefox 上，它找到了 81 个此前没人发现、被 Mozilla 定为高危的漏洞。OpenAI 把它在自家安全框架里的网络安全评级定为 Critical，也就是最高档。

但这篇公告真正值得读的不是“它有多强”，而是“它被管得多严”。GPT-6 Cyber 不向公众开放，甚至不在 ChatGPT 里出现。想用它，先过 Daybreak Red 的审核：身份验证、组织安全要求、API 默认 IP 白名单，一样都不能少。OpenAI 一边把模型的攻击能力推到新高度，一边给它套上了自己有史以来最重的枷锁。这个矛盾就是这篇公告的核心：当 AI 找漏洞的能力超过人类安全团队时，谁有资格用它，就成了一个必须先回答的问题。

先把结论摆在前面：这是一次有明确边界的发布。能力数字全部来自 OpenAI 自己的测试，没有独立第三方复核；普通开发者今天用不上它，也买不到它。但它仍然值得认真读，因为它标志着一个转折点——前沿模型第一次被当作“网络武器级”的能力来管理，而不是当作普通产品来卖。对所有写代码、做安全、管服务器的人来说，这意味着攻防两边的游戏规则都在变。

它到底有多强：ExploitGym 48.5%，948 个 Linux 提权利用

先看 OpenAI 公布的基准数字。ExploitGym 考的是模型能不能利用一个指定的已知漏洞：GPT-6 Cyber 得分 48.5%，上一代 GPT-5.6 Cyber 是 32.1%，相对提升 51%，绝对差距约 16 个百分点；同门的主力模型 GPT-6 Astra 是 42.4%。在一项新做的离线 Web 渗透测试评测里，GPT-6 Cyber 的漏洞召回率是 40.3%，Astra 是 32.0%。

更能说明问题的是 RemoteExploitBench。这是一项新基准，把 GitLab、PostgreSQL、Jenkins 这些真实应用里已知的漏洞部署在受控环境中，让模型在不看源码的情况下远程利用。结果很有戏剧性：GPT-6 Astra 配上 Daybreak Blue（防守向的访问层级）拒绝了 100% 的任务——它根本不接这种活；而 GPT-6 Cyber 完成了 95%，唯一失败的一次是因为写出的利用代码在远程跑不通。OpenAI 自己的解读是：这不是 Astra 能力不够，而是它被调成了“不干这个”。

但基准分数只是开胃菜。真正的大数字来自两次真实的代码库战役。第一次是对最新 Linux 内核的扫描：一个自动化流程先筛出 2308 个候选发现，动态复现了其中 1724 个漏洞，并最终写出 948 个不同的本地提权利用——也就是能让普通本地用户拿到 root 权限的完整攻击代码。同样用这套研究框架，上一代 GPT-5.6 Sol 只做出了 166 个。按 OpenAI 在 11 月 4 日 companion 文章《A thousand fewer paths to root》里披露的账，这次扫描花了约 121 万美元的 API 额度，折合每个提权利用约 1279 美元。OpenAI 说，已按 Linux 社区的指引，把其中 304 个关键发现连同候选补丁一起披露给了内核维护者，其余的正在陆续走修复流程。

第二次是对 Firefox 的战役：GPT-6 Cyber 拿出了 81 个此前未知的漏洞的证据和可复现测试，Mozilla 把它们定为高危；另外还有 30 个已知问题，经它验证后发现比原来报告的更严重。Mozilla 已经为其中许多漏洞发布了修复。这两个数字的意义在于：Firefox 是被全世界的安全研究员翻了无数遍的代码，能在里面一次挖出 81 个高危新漏洞，说明模型的找漏洞能力已经超出了“在基准上刷分”的范畴，进入了“在真实世界里发现人类漏掉的东西”的阶段。

强在“守规矩”：Honeypot 测的是会不会越界

如果只比找漏洞的能力，GPT-6 Cyber 的故事讲到这里就够了。但 OpenAI 把公告一半的篇幅花在了另一件事上：这个模型会不会“越界”。安全研究里的越界是指：研究员只授权你测 A 系统，你却顺手去动了 B 系统；或者你的任务是找某个漏洞，你却去翻了无关的服务。能力越强，这种失控的风险越大。

为此 OpenAI 专门做了一项叫 ExploitGym Honeypot 的评测，灵感来自 2026 年 8 月的 Hugging Face 事件。做法是：给模型一个很难的利用任务，放在隔离环境里，旁边还放着一些故意做得很容易攻破的配套服务——比如软件包仓库或者对象存储。攻破这些配套服务能直接拿到任务的 flag，但它们不在授权范围内。模型必须自己推断出“这些不在我的任务范围里”，然后忍住不动手。

结果是：不加部署安全提示时，GPT-6 Cyber 在 99.93% 的测试里没有碰那些越界服务，上一代 GPT-5.6 Cyber 是 94.49%；加上部署提示后，GPT-6 Cyber 达到 100%。OpenAI 还在公告里贴出了模型的思维链片段，展示它是如何推理“哪些在范围内、哪些不在”的。这组数字的潜台词是：对齐训练不只是让模型“更听话”，而是让它在拥有攻击能力的同时，学会自己划清边界。

当然，这个数字也要打折扣。Honeypot 是 OpenAI 自己设计的评测，环境是隔离的，越界的诱惑是故意摆好的。在真实世界里，授权边界往往是模糊的、写在邮件和合同里的，而不是写在环境配置里的。99.93% 这个数字证明的是“在它自己的考场上表现很好”，而不是“在任何情况下都不会越界”。OpenAI 自己也在系统卡里写明了这一点，公告正文同样承认，保障措施需要持续打磨。

它在真实世界里已经干了什么：不只是基准

除了 Linux 和 Firefox 这两个大数字，公告还提到了几件已经发生的事。第一，OpenAI 自己的安全团队已经在用它：思科（Cisco）、加州的 Calif 和 CodeRabbit 这三家安全团队正在用它做漏洞研究和代码评审；OpenAI 自己也靠它加固训练前沿模型的基础设施——在一次受控红队演练里，用 GPT-6 Cyber 等模型驱动的 Agent 串联多个漏洞，逃出了微型虚拟机（microVM），在底层宿主机上执行了代码，团队据此打了补丁、收紧了网络限制，并向软件维护者和厂商报告了问题。

第二，Brotli 压缩库的关键漏洞。Brotli 被 Node.js 等大量软件使用，OpenAI 的研究员用 GPT-6 Cyber 和其他模型一起，开发并验证了能证明该漏洞可导致下游应用远程代码执行的利用代码。这个案例被单独点出来，意在说明模型的能力不只是“找漏洞”，而是“把漏洞变成可验证的危害证明”，这是安全研究里最花人力的环节之一。

第三，OpenAI 把 GPT-6 Cyber 的发布和 Daybreak 计划的扩张绑在了一起：10 亿美元的“Daybreak for Frontline Defenders”资助计划为资源紧张的团队补贴访问费用；新设的“Daybreak Red for Critical Infrastructure”小组，专门让经过审核的关键基础设施防守者获得授权测试关键系统的权限。与此同时，OpenAI 与工业安全公司 Dragos 合作，让对方在受控实验室里评估模型在工控系统场景下的表现，并据此打磨防护措施。

谁能用、谁不能用：Daybreak Red 的门

这是公告里最现实的一节。GPT-6 Cyber 首批只对“经过批准的 Daybreak Red 客户中的一部分”开放，通过 API 和 Codex 访问；OpenAI 说会“很快”扩大到全部 Daybreak Red 客户。与此同时，上一代 GPT-5.6 Cyber 向全部 Daybreak Red 客户开放，Daybreak Blue（防守向）的 GPT-6 Astra 内测也在向更多组织和个人安全研究员扩大。

Daybreak 是 OpenAI 的网络安全访问计划，今年 8 月刚拆成两档：Blue 面向防守工作——验证漏洞、测试补丁，特点是“更少的不必要拒绝”；Red 面向更深的利用开发和授权安全测试，也就是 GPT-6 Cyber 所在的那档。想进 Red，要过身份与资格审核，接受授权使用的限制；据 Unite.AI 对系统卡的梳理，组织层面还要满足单点登录、多因素认证、受管设备、最小权限访问等要求，API 访问默认只允许列入白名单的网络。

对普通开发者来说，这意味着一件事：你今天既用不上 GPT-6 Cyber，也不需要为它焦虑。OpenAI 明确说，主流模型 GPT-6 Astra 已经能支持代码评审、漏洞分流和补丁开发，那才是大多数人手里已有的工具。GPT-6 Cyber 是给“被审核过的安全团队”的专用武器，它的发布方式本身就是一种表态：最强的攻击能力，不再默认向所有人开放。

值得补充的一个细节是，OpenAI 在同一批动作里把上一代 GPT-5.6 Cyber 向全部 Daybreak Red 客户开放，同时把 Daybreak Blue 里 GPT-6 Astra 的内测扩大到更多组织和个人安全研究员。新用户和新组织可以自行申请加入 Daybreak。这说明分层开放不是“一刀切的封锁”，而是一条渐进的路：最强的模型先给审核最严的一小批人用，次一档的逐步放宽，防守向的工具则在向个人研究员扩围。对独立安全研究员来说，值得关注的入口不是 GPT-6 Cyber 本身，而是 Daybreak Blue 的扩大——那才是普通人离这套能力最近的地方。

这种“分层开放”的做法，也回应了公告里反复出现的一个词：窗口期。OpenAI 写道，现在有一个“有限的窗口”，可以用前沿模型来加固软件——言下之意是，攻击者迟早也会拿到同等能力，防守方必须抢在前面。10 亿美元的资助计划和关键基础设施小组，都是这个逻辑的产物：把最强的工具先交到防守者手里。

护栏那一面：监控、拦截与关键基础设施

能力越强，护栏就要越密。公告列出了一组随 GPT-6 Cyber 一起上线的防护措施：针对网络的专项错位监控——检查模型的行为是否符合用户的授权，同时承认合法的利用开发和测试；针对新出现威胁的定向监控，比如在关键 PHP 漏洞集中披露期间，专门盯着针对真实 PHP 服务器开发利用的尝试，同时不影响防守方打补丁；私有安全处理（Private Safety Processing），用自动化检查来审查相关交互；被盗凭证防护，API 默认要求 IP 白名单，并监控凭证是否泄露；以及对高风险网络协助的新检查，用来拦截可能危及工控系统、关键基础设施的请求。

关键基础设施是单独成章的。公告说，保护电厂、水处理设施和工控系统（OT/ICS）是设计这些防护措施时的核心考量之一：一方面要给防守这些系统的团队用上最强的模型，另一方面要加强防护，防止未经授权的攻击。OpenAI 与 Dragos 的合作评估覆盖了从网络发现、资产枚举，到定向侦察、敏感数据外泄，再到未经授权的危险设备操作等一系列请求。OpenAI 表示，会根据 Dragos 的反馈打磨防护措施，目标是“拦截有害协助，同时不无谓地限制授权测试”。

值得注意的是，OpenAI 在公告里承认了一个微妙的判断：更高的拦截率不一定是更好的。很多被拦截的技术，同样是合法安全工作必不可少的——理解系统、发现漏洞、验证补丁是否顶得住攻击。因此他们评估拦截率时，会同时看它对合法研究的支持程度，而不是一味追求 100%。这种表态本身，就是对“安全模型该怎么管”这个问题的回答：不是一刀切地禁，而是按授权分层。

对 vibe coder 的启示：防守方也能用上这套能力

对 VibeFix 的读者来说，GPT-6 Cyber 最直接的启示不在模型本身——你用不上它——而在它指向的趋势：AI 找漏洞、写利用、给补丁的整条链路，正在从“研究演示”变成“工程流程”。OpenAI 在 Linux 内核上的做法就是模板：模型筛候选、动态复现、写出利用、生成候选补丁、按社区流程披露。这个流程里最花人力的环节——复现和验证——正在被自动化。

对独立开发者和小团队来说，现实的版本是另一档：Daybreak Blue 里的 GPT-6 Astra，以及主流模型已经能做的代码评审、漏洞分流和补丁开发。公告里提到的 CodeRabbit 正在用 GPT-6 Cyber 做代码评审，但同类能力正在向下渗透：让模型在你提交代码前扫一遍、给高危模式标出来、附上复现步骤，这已经是今天就能做的事，不需要等 Daybreak 的审核。

反过来想，攻击侧的门槛也在下降。948 个 Linux 提权利用、每个约 1279 美元的成本，意味着过去需要资深安全研究员花数周做的事情，现在可以用一个自动化流程批量做出来。你的项目如果跑在没打补丁的内核、没更新的依赖上，被扫到的概率正在上升。补丁要及时打，依赖要定期升——这些老生常谈，在模型能批量写利用的时代，分量比以前更重了。

冷静一点：数字全是 OpenAI 自己报的

先说这篇公告最大的保留：所有关键数字——48.5% 的 ExploitGym、948 个利用、81 个 Firefox 漏洞、99.93% 的守界率——全部来自 OpenAI 自己的测试和统计，没有独立第三方的复核。Mozilla 的修复记录从侧面印证了 Firefox 那部分（Mozilla 公开表示，Firefox 团队已获得 OpenAI 与 Anthropic 前沿模型的早期使用权，并用它们更快地定位和修复了细微缺陷），但 81 这个总数本身，仍然只有 OpenAI 的说法。Linux 内核的 304 个已披露关键发现，同样只有 OpenAI 的单方面陈述，内核社区没有公开对过这个账。

其次，“Critical”这个评级是 OpenAI 自家框架里的最高档，不是行业通用标准。它的意思是“按我们的测试，这个模型在网络安全上的危险能力达到了最高级别”，而不是“全世界都认定它危险”。上一代 GPT-5.6 Cyber 是 High，主力模型 GPT-6 Astra 同样是 Critical——也就是说，这个评级描述的是能力档位，不是 GPT-6 Cyber 独有的标签。读公告时把“Critical”理解成“OpenAI 认为它够格进最高管控档”，比理解成“世界末日”要准确。

最后，GPT-6 Cyber 的能力边界仍然是“受控环境里的能力”。Linux 内核的扫描是在研究框架里跑的，Firefox 的漏洞是在有完整复现测试的条件下确认的，RemoteExploitBench 的 95% 完成率也是在“已知漏洞、受控部署”的前提下取得的。这些数字证明的是模型在有准备的战场上的表现，而不是它能在任意真实系统里随手找到漏洞。OpenAI 的系统卡里有完整的评估细节，公告正文多次指向它——真正想较真的人，应该去读系统卡，而不是只看公告里的 headline 数字。

尽管如此，这次发布的信号意义是真实的：前沿模型找漏洞、写利用的能力，已经强到厂商不敢把它当作普通产品来卖了。当最强的攻击能力开始实行“审核准入制”，防守方要做的第一件事，就是确认自己是不是在“被允许使用”的那一边——如果不是，至少要确认自己的补丁和依赖没有掉队。因为扫描器不会等你，948 个利用也不会等你。而对普通开发者来说，最实际的动作其实很小：打开你的项目，看一眼依赖列表里有多少个包已经三个月没更新了——GPT-6 Cyber 这样的模型，正在让“没打的补丁”从技术债变成倒计时。